搜索

[8204] 2014-08-17_QQ蠕虫的行为检测方法

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-08-17_QQ蠕虫的行为检测方法 Q Q 蠕 虫 的 行 为 检 测 方 法 F r e e B u f   2 0 1 4 - 0 8 - 1 7 作 者   N a n d i s e c 选 题 背 景 选 题 背 景 Q Q 蠕 虫 是 一 种 利 用 Q Q 等 腾 讯 公 司 相 关 产 品 进 行 传 播 的 一 种 特 殊 蠕 虫 ， 该 蠕 虫 的 基 本 原 理 是 利 用 了 Q Q 帐 户 的 快 速 登 录 机 制 ， 只 要 当 前 系 统 中 有 一 个 Q Q 帐 户 成 功 登 录 ， 就 可 以 通 过 后 台 接 口 实 现 该 帐 户 相 关 应 用 的 快 速 登 录 而 不 需 要 再 次 输 入 帐 户 密 码 。 登 录 后 蠕 虫 可 以 访 问 Q Q 应 用 的 各 种 网 络 接 口 ， 例 如 ： 通 过 接 口 实 现 加 Q Q 好 友 、 加 入 Q Q 群 、 发 消 息 、 发 日 志 、 发 微 博 、 上 传 群 共 享 文 件 等 操 作 ， 且 完 全 不 需 要 用 户 同 意 。 借 用 这 种 技 术 ， Q Q 蠕 虫 可 以 实 现 非 常 快 速 的 传 播 。 这 种 蠕 这 种 蠕 虫 诞 生 于 虫 诞 生 于 Q Q 体 系 之 上 ， 其 影 响 和 传 播 主 要 集 中 在 国 内 地 区 ， 因 此 国 外 品 牌 的 杀 软 对 这 类 蠕 虫 识 别 和 支 持 非 常 有 限 体 系 之 上 ， 其 影 响 和 传 播 主 要 集 中 在 国 内 地 区 ， 因 此 国 外 品 牌 的 杀 软 对 这 类 蠕 虫 识 别 和 支 持 非 常 有 限 ， 国 内 的 杀 软 品 牌 对 该 蠕 虫 检 测 也 不 是 特 别 理 想 ， 国 内 的 杀 软 品 牌 对 该 蠕 虫 检 测 也 不 是 特 别 理 想 ， 从 而 导 致 了 该 Q Q 蠕 虫 的 传 播 更 加 快 速 ， 影 响 范 围 更 广 。 基 于 以 上 信 息 ， 利 用 W i n P c a p 技 术 抓 取 网 络 数 据 包 ， 对 H T T P   P O S T 包 进 行 分 析 ， 过 滤 出 对 域 名 q q . c o m 访 问 的 数 据 包 ， 但 是 由 于 W i n P c a p 考 虑 到 很 多 数 据 结 构 需 要 自 己 封 装 且 时 间 很 少 ， 所 以 决 定 使 用 s h a r p P c a p + C #   代 替 常 用 的   W i n P c a p + V C 来 捕 获 数 据 包 实 现 基 本 思 路 实 现 基 本 思 路 （ 1 ） 经 典 的 H T T P 请 求 方 式 ： G E T   / s o m e d i r / p a g e . h t m l   H T T P / 1 . 1 H o s t :     w w w . s o m e s c h o o l . e d u C o n n e c t i o n :   c l o s e U s e r - a g e n t :   M o z i l l a / 4 . 0 A c c e p t - l a n g u a g e :   f r （ 2 ） 我 们 注 意 到 H T T P 请 求 报 文 中 的 第 一 行 是 以 G E T 打 头 的 ， 它 实 际 上 是 H T T P 请 求 的 一 种 方 法 ， 类 似 的 还 有 P O S T 、 H E A D 等 等 。 一 般 熟 知 的 大 概 就 是 G E T 和 P O S T 。 （ 3 ） 利 用 这 个 我 们 就 可 以 用   s h a r p P c a p   技 术 抓 取 网 络 数 据 包 ， 在 数 据 包 中 判 断 T C P 数 据 报 文 里 是 否 保 存 了 H T T P 数 据 。 如 果 有 H T T P 数 据 且 是 请 求 报 文 ， 就 获 得 了 H T T P 的   G E T 、 P O S T   请 求 数 据 后 进 行 解 析 ， 数 据 的 解 析 可 以 通 过 C o n t e n t - T y p e 分 析 数 据 格 式 ， 并 按 照 相 应 的 解 析 方 式 进 行 解 码 ， 解 码 过 程 中 还 有 对 于 中 文 字 符 的 处 理 等 等 。 部 分 功 能 实 现 部 分 功 能 实 现 基 于 s h a r p P c a p ， C # 写 的 抓 包 程 序 源 代 码 设 备 信 息 截 图 ：
获 取 数 据 包 数 据 截 图 ： 完 整 源 码 就 不 附 上 了 ， 附 上 e x e 下 载 地 址 ： h t t p : / / p a n . b a i d u . c o m / s / 1 m g p 3 k W o
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理